CrowdStrike CCFH-202 Prüfungsvorbereitungshandbuch Vorbereitungshandbuch für die CCFH-202 Prüfung [Q35-Q53]

Q35. Siehe Exhibit.

Auf welche Art von Angriff würde dieser Prozessbaum hinweisen?

Q36. Wie benennt man Felder um, wenn man Transformationsbefehle wie Tabelle, Diagramm und Statistik verwendet?

Q37. Sie benötigen Details über die wichtigsten Datenfelder und Sensorereignisse, die Sie von Hosts erwarten, auf denen der Falcon-Sensor läuft. Auf welche Dokumentation sollten Sie zugreifen?

Q38. Die Tabelle "Process Timeline Events Details" füllt die Spalten "Parent Process ID" und "Parent File" auf, wenn die cloudfähigen Ereignisdaten welches Ereignisfeld enthalten?

Q39. Angreifer führen in der Regel Erkennungsbefehle wie netexe, ipconfig.exe und whoami exe aus. Anstatt jeden dieser Befehle einzeln abzufragen, möchten Sie eine einzige Abfrage für alle diese Befehle verwenden. Welcher Splunk-Operator wird benötigt, um die folgende Abfrage auszuführen?

Q40. Das Ereignisdatenlexikon in der Falcon-Dokumentation ist für die Erstellung von Jagdabfragen sehr nützlich:

Q41. Was ist der Hauptzweck des Mac Sensor Berichts?

Q42. Welche der folgenden Aussagen beschreibt den Zweck des Mac Sensor-Berichts am besten?

Q43. Welche der folgenden Aussagen über eine Hash-Suche ist WAHR?

Q44. Auf welches Falcon-Dokumentationshandbuch sollten Sie sich beziehen, um nach Anomalien im Zusammenhang mit geplanten Aufgaben und anderen Windows-bezogenen Artefakten zu suchen?

Q45. Welche Informationen werden vom MITRE ATT&CK-Framework in den Ausführungsdetails einer Erkennung bereitgestellt?

Q46. Welches Dokument enthält Informationen zu Best Practices für das Schreiben von Splunk-basierten Hunting-Abfragen, vordefinierten Abfragen, die für die Suche nach verdächtigen Netzwerkverbindungen angepasst werden können, und vordefinierten Abfragen, die für die Suche nach verdächtigen Prozessen angepasst werden können?

Q47. Welche Daten werden beim Exportieren der Ergebnisse der folgenden Ereignissuche in der exportierten Datei gespeichert (unter der Annahme des Ausführlichen Modus)? event_simpleName=*Written | stats count by ComputerName

Q48. Welches der folgenden Beispiele ist ein Akteur, der in der RECONNAISSANCE-Phase der Cyber Kill Chain agiert?

Q49. Im MITRE ATT&CK Framework (Version 11 - die neueste Version, die im April 2022 veröffentlicht wurde) ist welches der folgenden Taktikpaare nicht in der Enterprise: Windows-Matrix?

Q50. Welche der folgenden Methoden eignet sich zur Quantifizierung von Suchergebnissen, die es dem Jäger ermöglichen, Ausreißer schnell zu sortieren und zu identifizieren?

Q51. Welche vordefinierten Berichte bieten Informationen zu Aktivitäten, die typischerweise auf verdächtige Aktivitäten in einem System hinweisen?

Q52. SPL (Splunk) eval-Anweisungen können verwendet werden, um Unix-Zeiten (Epoch) in UTC-lesbare Zeit umzuwandeln Welche eval-Funktion ist richtig?

Q53. Um Ereignisse zu finden, die Ausreißer innerhalb eines Netzwerks sind, ist ___________ die beste Suchmethode.